2 Травня, 2024

Новий Федеральний закон Швейцарії про захист даних vs GDPR: короткий огляд

Федеральний закон про захист даних / Federal Act on Data Protection (Data Protection Act, FADP, nFADP, revFADP) був прийнятий 25 вересня 2020 року та набуває чинності 1 вересня 2023 року.

Загальний регламент ЄС про захист даних / General Data Protection Regulation (GDPR) була прийнята у квітні 2016 року та набуває чинності у травні 2018 року.

Основним завданням FADP є:

– Забезпечити, щоб законодавчі вимоги відповідали викликам часу та новим технологіям;

– Привести швейцарське законодавство про захист даних у відповідність із законодавством ЄС для збереження конкурентоспроможності швейцарських компаній та вільного потоку даних.

Як FADP, так і GDPR спрямовані на захист конфіденційності та персональних даних фізичних осіб.

Схожість та особливості:

Принципи обробки схожі за своєю суттю, але в GDPR принципи розкриті набагато докладніше (ст. 6 FADP / ст. 5 GDPR);

Вимоги до реалізації принципів захисту даних за задумом та захисту даних за замовчуванням (ст. 7 FADP / ст. 25 GDPR);

Вимоги до безпеки обробки даних (ст. 8 FADP / ст. 32 GDPR), але слід визнати, що GDPR набагато більш детальний, в той час як FADP містить посилання на положення, які повинні бути видані Федеральною радою;

Обидва Закони містять положення щодо призначення Уповноваженого із захисту даних. Однак, незважаючи на те, що GDPR містить чітку вимогу щодо призначення DPO у певних випадках обробки, FADP залишає це на розсуд контролера даних (ст. 10, 14 FADP / ст. 37 GDPR);

Аналогічний обов’язок для контролерів персональних даних призначити представника у Швейцарії/ЄС (ст. 14 FADP / ст. 27 GDPR);

Вимога вести реєстри діяльності з обробки даних та проводити оцінку впливу на захист даних (DPIA), а також консультації з наглядовим органом. Проте, на відміну від GDPR, FADP дозволяє консультуватися з власним DPO замість консультацій з наглядовим органом (ст. 23 FADP / ст. 26 GDPR);

Права суб’єкта даних також схожі, але «диявол криється в деталях». Наприклад, обидва акти містять аналогічний обов’язок надавати інформацію при зборі персональних даних, але FADP передбачає ще кілька додаткових винятків, розкиданих по всьому акту (ст. 19, 20, 25, 26, 27 FADP / ст. 13, 14 GDPR);

Повідомлення про витік даних: GDPR вимагає, щоб наглядовий орган був повідомлений протягом 72 годин, якщо це можливо. На противагу цьому, FADP не встановлює чітких термінів для повідомлення (якомога швидше) (ст. 24 FADP / ст. 33 і 34 GDPR);

Правові підстави – одна з найбільш принципових відмінностей

GDPR містить загальну заборону на обробку даних і встановлює винятки (відомі як правові підстави) у статті 6.

З іншого боку, відповідно до FDAP, приватним компаніям – контролерам даних, як правило, дозволяється збирати та обробляти персональні дані, якщо це не порушує конфіденційність користувачів (якщо немає порушення принципів, викладених у статті 6 FDAP, і немає порушення безпеки (стаття 8).

Якщо це впливає на конфіденційність, контролери даних повинні надати одне або кілька обґрунтувань, перелічених у статті 31 FDAP.

Покарання

Покарання відповідно до GDPR є особливо суворими: за найсерйозніші порушення передбачені штрафи в розмірі до 20 мільйонів євро або 4% від світового річного обороту організації, залежно від того, що вище.

FADP вводить штрафи в розмірі до 250 000 швейцарських франків для фізичних осіб, пропонуючи інший підхід до притягнення до відповідальності та шкали штрафів.

Однак штраф також може бути накладений на компанію, якщо виконуються такі умови: штраф не перевищує 50 000 швейцарських франків, а заходи, необхідні для розслідування конкретної особи, є непропорційними.

Крім того, санкції за ФАДП вводяться в рамках кримінального провадження. Це означає, що караються лише умисні злочини.

Кримінальна відповідальність за недбале порушення зобов’язань щодо захисту даних не передбачена. Це, чесно кажучи, дещо знижує рівень захисту права на приватність у порівнянні з GDPR.

Висновок

Таким чином, хоча FADP та GDPR мають спільні цілі та схожі вимоги, ключові відмінності відображають підхід Швейцарії до правозастосування, штрафних санкцій та окремих вимог щодо дотримання законодавства.

Загалом можна відзначити, що на відміну від GDPR, FADP висуває більш м’які вимоги та надає більше свободи дій контролерам даних.

Також слід зазначити, що відсутність санкцій за ненавмисні порушення ускладнює реалізацію закону на практиці.

Зокрема, велика кількість малих та середніх швейцарських компаній порушують обов’язок надавати інформацію при зборі персональних даних. І хоча стаття 60 FADP передбачає відповідальність, на практиці виникає питання, чи можна довести, що, наприклад, повна відсутність повідомлення про конфіденційність або політики на веб-сайті є навмисним порушенням, а не недбалістю.

Але чи можна вважати недбалістю випадкову втрату флешки, що містить конфіденційні персональні дані, або завантаження таких даних на незахищений сервер?

При цьому компанії, що працюють як в європейській, так і в швейцарській юрисдикціях, повинні дотримуватися обох законодавчих актів, орієнтуючись на нюанси між ними.

Хорошою практикою було б застосування однакових стандартів конфіденційності до даних користувачів з різних юрисдикцій, достатньо високих, щоб відповідати законодавству як Швейцарії, так і ЄС.

Зрештою, йдеться про повагу до фундаментальних прав людини.